这个小操作，让政府邮件网络安全改进了一大步

根据美国国土安全部2017年10月发布的命令，截至今年1月15日，所有政府机构的域名必须采用邮件发件人策略框架（简称SPF）以及基于域的邮件验证、报告与一致性记录机制（简称DMARC）。这标志着美国政府邮件网络安全迈出重要一步。

SPF 和 DMARC 是什么？

对于不熟悉电子邮件安全知识的读者，SPF与DMARC可能听起来比较陌生，因此国土安全部特别给出了一份“通俗版”解释。

SPF是验证电子邮件发件人真实身份与检测欺诈行为的一种方法。传入的电子邮件会接受检查以确保其来自真实的声明来源。如果有人试图伪造“发件人”地址，那么该电子邮件将会被及时标出。

DMARC采用SPF DomainKeys Identified Mail来保障安全性，同时定义邮件接收系统如何验证邮件并在邮件未能通过验证时作出响应。它负责帮助政府机构了解如果电子邮件并非来自官方.gov服务器，应采取怎样的应对措施。其还为各政府机构提供相关方法，用以确认收件人接收到邮件的具体内容，从而判断其是否遭遇欺诈活动。

美国政府邮件网络安全的一大步

常年以来，全球各地企业、用户深受伪造邮件欺诈威胁。据媒体报道，2016年4月，美国某公司遭到伪造邮件欺诈，骗子从公司窃取近一亿美金。在苹果公司开发者网站宕机时，一些不法分子也会找机会向用户实施钓鱼，伪装成官方邮件来骗取用户密码。

启用SPF、DMARC可以有效抵御伪造邮件欺诈。360企业安全邮件安全专家楚赟表示：“电子邮件创立的初衷就是为了全世界互联互通，因此在系统设计和协议上并没有考虑足够的安全性，从邮件协议本身就允许任何人以任何人的名义给任何人发邮件，因此邮件很容易被伪造和仿冒，美国国土安全局要求所有政府机构的域名必须采用SPF和DMARC这一举措在阻止恶意分子的伪造欺诈并保护政府邮件安全方面迈出了一大步。”

仅仅启用 SPF 和 DMARC 是不够的

但在目前日益复杂的网络安全形势下，数据泄漏频发和用户密码重用问题，使得攻破邮件系统不再需要很高的门槛。除了仿冒身份之外，攻击者可通过口令猜解、邮件钓鱼、木马病毒邮件等各种手段获得合法身份入侵政府邮件系统，甚至利用系统漏洞攻破邮件系统直接将系统拖库。

面对这些威胁政府机构邮件系统的安全仅靠开启SPF和DMARK机制是远远不够的。鉴于80%以上的机密文件和敏感数据都通过电子邮件传递和交流，我们的政企用户需要正视电子邮件的安全风险，及时部署相应的安全措施。

安全专家认为，现在是时候给邮箱加上最新的安全防护技术了，比如：

全程加密

基于生物特征的多因素认证加强对口令的保护

采用数字签名防止邮件仿冒和篡改

部署反钓鱼和反病毒引擎等

通过上述先进手段，构建终端安全软件与邮件反病毒引擎的协同联动机制，使终端安全软件能成为邮件系统的恶意样本探测器。

360邮件防盗系统基于创新理念，采用基于动态口令的双因素认证，全程数据加密等技术，覆盖PC和移动端，可以帮助政企客户全面解决电子邮件引发的信息泄漏、身份仿冒、病毒泛滥等安全问题。